Como posso proteger minhas conexões https contra o homem nos ataques do meio ou pelo menos avisar quando elas ocorrem?

0

Pelo que estou lendo no post no blog de Bruce Schneier , man in the middle attack (MITM) são comuns para https de conexões. Os agentes do ataque são seu ISP e o pessoal de TI da empresa.

Como posso configurar o chrome de modo que quando falo em algum site sobre https connections, posso saber que a criptografia que está ocorrendo é segura contra ataques MITM provenientes de nós na rede ou pelo menos ter o chrome me avisar quando alguém está tentando fazer um ataque MITM?

    
por Ross Rogers 19.01.2013 / 00:21

1 resposta

1

Para evitar o tipo de "ataque" descrito nessa postagem do blog, não use navegadores baseados em "nuvem". Um navegador baseado em nuvem não se comunica diretamente com sites da Web; em vez disso, ele depende de um tipo de servidor proxy (operado pela Nokia neste caso) para acessar sites em seu nome. O proxy estabelece a conexão SSL com o site e recebe e descriptografa as páginas antes de enviá-las de volta para você.

Para proteger contra outros tipos de ataques de MitM de SSL, você precisará verificar se o certificado do site é genuíno: que realmente pertence ao site e não a um invasor disfarçado de site. Em princípio, o fato de o certificado ser assinado por uma CA confiável deve fornecer garantia suficiente de que eles verificaram a autenticidade do certificado . Na prática, as autoridades de certificação cometem erros às vezes, e os invasores conseguem obter certificados "autênticos" assinados para domínios de alto perfil.

As Perspectivas podem alertá-lo quando um site apresenta um certificado diferente do apresentado para outros, o que pode ser um sinal de que você está conectado a um invasor MitM em vez de ao servidor real. No entanto, isso funciona solicitando aos servidores notários da Perspectives informações sobre cada domínio que você visita usando HTTPS, para que esses servidores possam saber quais domínios você está visitando.

A Patrulha de Certificação pode alertá-lo quando um site apresenta um certificado diferente agora do que no passado, o que também pode indicar um ataque MitM. Isso evita revelar quais domínios você está visitando para terceiros, mas também é mais propenso a falsos positivos, pois os sites alteram seus certificados periodicamente.

Em um ambiente corporativo, seu departamento de TI pode estar atuando como uma CA privada e (internamente) criando certificados que pareçam ser para domínios externos. Nessa situação, o navegador está configurado (pelo departamento de TI) para confiar nos certificados da CA corporativa. Quando você tenta se conectar a um site externo, sua conexão é roteada para um proxy corporativo, que apresenta um desses certificados internos falsos que afirma ser o site que você está tentando visitar. Seu navegador acha que está se comunicando com o site real, mas na verdade está se comunicando com o proxy.

Esse tipo de ataque só é possível se o invasor for capaz de configurar seu navegador para confiar em uma CA que, por padrão, não o faria. O exemplo usual é uma rede corporativa com o departamento de TI como o "atacante", mas também pode acontecer em um computador pessoal infectado por malware. (Claro que, se houver malware no seu computador, ele poderá espiar sua navegação mais diretamente, sem necessidade de MitM.)

As perspectivas detectariam esse tipo de ataque, já que você está vendo um certificado falso interno emitido por uma empresa enquanto todos que estão fora da sua rede corporativa veem o verdadeiro. O Certificate Patrol não iria, a menos que seu computador fosse alternado entre a rede corporativa e uma rede externa, e você tentasse visitar o mesmo site de ambos.

    
por 19.01.2013 / 03:28

Tags